JVN#65171386
ID リンク・マネージャーおよびFUJITSU Software TIME CREATORにおける複数の脆弱性

エフサステクノロジーズ株式会社が提供するID リンク・マネージャーおよびFUJITSU Software TIME CREATORには複数の脆弱性が存在します。

CVE-2024-33620

• FUJITSU Business Application ID リンク・マネージャーII V1.8およびそれ以前のバージョン
• FUJITSU Software ID リンク・マネージャー V2.0
• FUJITSU Software TIME CREATOR ID リンク・マネージャー V2.3.0、V2.3.1、V2.4、V2.5、V2.6、V2.7
• FUJITSU Software TIME CREATOR ID リンク・マネージャー V3.0、V3.0.2、V3.0.2.1、V3.0.3

• FUJITSU Business Application ID リンク・マネージャーII V1.8およびそれ以前のバージョン
• FUJITSU Software ID リンク・マネージャー V2.0
• FUJITSU Software TIME CREATOR ID リンク・マネージャー V2.3.0、V2.3.1、V2.4、V2.5、V2.6、V2.7
• FUJITSU Software TIME CREATOR ID リンク・マネージャー V3.0、V3.0.2、V3.0.2.1、V3.0.3
• FUJITSU Software TIME CREATOR ID リンク・マネージャー SaaS（2024年6月16日のメンテナンスより前のバージョン）

エフサステクノロジーズ株式会社が提供するID リンク・マネージャーおよびFUJITSU Software TIME CREATORには、次の複数の脆弱性が存在します。

• パストラバーサル（CWE-36）
  • CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N 基本値 8.6
  • CVE-2024-33620
• 不適切な認証（CWE-306）
  • CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N 基本値 5.4
  • CVE-2024-33622
• 情報漏えい（CWE-204）
  • CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N 基本値 5.3
  • CVE-2024-34024

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• 認証無しでサーバ上の機微な情報を含むファイルを参照される（CVE-2024-33620）
• 機微な情報を取得されたり、データベース内の情報を改ざんされる（CVE-2024-33622）
• 認証無しでユーザ名の有無を参照される（CVE-2024-34024）

パッチを適用する
ID リンク・マネージャーおよびFUJITSU Software TIME CREATORについては、開発者が提供する情報をもとに、パッチを適用してください。

FUJITSU Software TIME CREATOR ID リンク・マネージャー SaaSは2024年6月16日のメンテナンスで修正済みです。